H3C三层交换机配置实例的核心在于先规划VLAN与网关地址，再通过VLAN接口开启三层路由功能，最后按需叠加DHCP、ACL等策略，下文用一个真实的企业办公网改造场景，把完整配置过程拆给你看。
H3C三层交换机配置实例：从VLAN划分开始的完整步骤
场景描述与网络规划
假设你接管了一个三层网络改造项目，公司有研发部、市场部、财务部三个部门，原有二层交换机把所有电脑挤在同一个广播域里，网络慢、安全差，新采购了一台H3C S5560系列三层交换机作为核心，要求隔离部门流量,同时让三个VLAN能互相访问。
规划如下：
- VLAN 10：研发部，网段 192.168.10.0/24，网关 192.168.10.1
- VLAN 20：市场部，网段 192.168.20.0/24，网关 192.168.20.1
- VLAN 30：财务部，网段 192.168.30.0/24，网关 192.168.30.1
- 管理VLAN 100：交换机管理地址 192.168.100.2/24
统一使用H3C的Comware V7版本命令行，这也是当前H3C主流系列（S5560、S5130、S6520等）的通用语法。
登录设备与基础配置
用Console线或者SSH登录交换机后,先进入系统视图并修改设备名。
<H3C> system-view [H3C] sysname Core [Core]
开启Telnet或SSH服务方便远程管理，这里建议用SSH更安全，但初期调试用Console最稳，关闭不必要的域名解析,避免敲错命令时卡在DNS解析上。
[Core] undo ip domain-lookup [Core] interface Vlan-interface 100 [Core-Vlan-interface100] ip address 192.168.100.2 24 [Core-Vlan-interface100] quit
VLAN配置与端口划分
创建三个业务VLAN，并把接入端口按部门划分进去，假设GigabitEthernet 1/0/1到1/0/10给研发部，1/0/11到1/0/20给市场部，1/0/21到1/0/24给财务部。
[Core] vlan 10 [Core-vlan10] description RD [Core-vlan10] quit [Core] vlan 20 [Core-vlan20] description MKT [Core-vlan20] quit [Core] vlan 30 [Core-vlan30] description FIN [Core-vlan30] quit
批量把端口加入VLAN时，可以使用port-group减少命令量,下面是研发部接口配置：
[Core] port-group manual group1 [Core-port-group-group1] group-member GigabitEthernet 1/0/1 to GigabitEthernet 1/0/10 [Core-port-group-group1] port access vlan 10 [Core-port-group-group1] quit
同理把11到20口划入VLAN 20，21到24口划入VLAN 30，这里要强调，如果下行接的是另一台二层交换机，那么核心侧端口应该配置成Trunk,允许对应VLAN通过。
VLAN接口IP与三层路由配置
二层VLAN创建好之后，三层交换机需要通过VLAN接口（SVI）来充当各网段的网关，逐个创建Vlan-interface并分配IP。
[Core] interface Vlan-interface 10 [Core-Vlan-interface10] ip address 192.168.10.1 24 [Core-Vlan-interface10] quit [Core] interface Vlan-interface 20 [Core-Vlan-interface20] ip address 192.168.20.1 24 [Core-Vlan-interface20] quit [Core] interface Vlan-interface 30 [Core-Vlan-interface30] ip address 192.168.30.1 24 [Core-Vlan-interface30] quit
由于H3C三层交换机默认开启本地代理ARP，VLAN间路由在创建完SVI后就能直接通，验证方式是把电脑的网关指向对应VLAN接口IP，然后互相ping，如果还有外部网络，比如连接出口路由器,就再配一条默认路由：
[Core] ip route-static 0.0.0.0 0 192.168.100.1
这就完成了一个最基础的H3C三层交换机配置实例，配置命令的坑往往不在VLAN本身，而是端口类型、链路聚合和后续的DHCP、ACL,下面展开讲。
如何配置H3C三层交换机的DHCP服务？实际命令演示
三层交换机常年承担网关角色，顺手把DHCP服务也跑起来，省得再买一台服务器，这个场景下，你要给三个VLAN分发不同网段的地址，核心就是配置DHCP地址池并开启全局DHCP服务。
DHCP配置实例
先开启DHCP功能,然后给每个VLAN建一个独立地址池。
[Core] dhcp enable [Core] dhcp server ip-pool vlan10 [Core-dhcp-pool-vlan10] network 192.168.10.0 mask 255.255.255.0 [Core-dhcp-pool-vlan10] gateway-list 192.168.10.1 [Core-dhcp-pool-vlan10] dns-list 114.114.114.114 8.8.8.8 [Core-dhcp-pool-vlan10] quit
注意地址池名称不能与VLAN名称冲突，这里用了vlan10作为池名，实际也可以换成rd-pool，为避免地址冲突，需要排除掉网关和服务器静态地址,在全局视图下配置：
[Core] dhcp server forbidden-ip 192.168.10.1 192.168.10.50
排除地址与租约设置
租约周期默认是一天，你可以按需调整,比如改成8小时：
[Core] dhcp server ip-pool vlan10 [Core-dhcp-pool-vlan10] expired day 0 hour 8 minute 0 [Core-dhcp-pool-vlan10] quit
有的老版本Comware用dhcp server expired命令，新版本建议敲expired后按Tab补全，配置完记得在VLAN接口下启用DHCP中继？不需要，因为SVI就是网关，DHCP客户端直接广播请求，交换机自身就是服务器，但如果你用DHCP中继让核心交换机向远端服务器转发请求，则要在接口下配
dhcp relay server-address。
业内专家指出，很多初次上手H3C设备的工程师容易漏掉dhcp enable，导致地址池配了也不下发,这是最常见的低级错误。
H3C三层交换机配置ACL实现访问控制的实际操作
部门隔离之后，财务部要求只允许研发部访问其服务器，市场部不能碰财务网段，而研发部可以访问互联网，这种需求就要用ACL配合包过滤,在VLAN接口的入方向做限制。
ACL规则设计
H3C的ACL分基本ACL（2000-2999）和高级ACL（3000-3999），基本ACL只匹配源IP，高级ACL可以匹配协议、端口、目的IP，我们需要禁止市场部访问财务部网段,允许其他流量。
先创建高级ACL 3000，规则是拒绝源192.168.20.0/24去往192.168.30.0/24的流量,然后放行其余：
[Core] acl advanced 3000 [Core-acl-ipv4-adv-3000] rule 10 deny ip source 192.168.20.0 0.0.0.255 destination 192.168.30.0 0.0.0.255 [Core-acl-ipv4-adv-3000] rule 20 permit ip [Core-acl-ipv4-adv-3000] quit
应用ACL到接口
ACL不会自己生效，必须应用到对应VLAN接口的入方向或出方向，这里我们把ACL挂到VLAN 20的接口入方向,拦截市场部发来的流量。
[Core] interface Vlan-interface 20 [Core-Vlan-interface20] packet-filter 3000 inbound [Core-Vlan-interface20] quit
注意，如果ACL放在出方向，规则要反过来检查目的地址，容易混淆，建议统一在源网段的入方向做过滤，配置完成后，市场部的电脑ping财务部网关都会超时，但访问研发部不受影响，因为ACL中有rule 20 permit ip兜底。
H3C三层交换机与其他品牌对比：配置差异大吗？
很多人买设备前会纠结，H3C、华为、思科命令很不通用，尤其做项目时可能同时遇到多厂商设备，实际对比下来，H3C的Comware命令更接近华为的VRP，两者都源自早期华为技术，但H3C在VLAN批量配置、ACL规则编号、接口视图命名上仍有自己的习惯。
以链路聚合为例,H3C三层交换机配置端口聚合：
[Core] interface Bridge-Aggregation 1 [Core-Bridge-Aggregation1] link-aggregation mode dynamic [Core-Bridge-Aggregation1] quit [Core] interface GigabitEthernet 1/0/47 [Core-GigabitEthernet1/0/47] port link-aggregation group 1
而华为是Eth-Trunk，思科是Port-channel，语法差异明显，但逻辑一致：创建聚合口、设置模式、把物理口加进去。
价格方面，H3C的S5130系列三层交换机在同配置下通常比思科便宜20%-30%，但这不是绝对数字，因为不同代理渠道的折扣力度差别很大，如果你在小城市做预算，找当地代理商询价更靠谱，线上标价往往虚高，行业共识认为，H3C在中小企业市场以高性价比和本地化服务占据了一大块份额，尤其是江浙沪地区,很多系统集成商默认推H3C。
对比下来，配置学习成本不算高，你只要熟练掌握H3C的vlan、interface vlan-interface、ip route-static、acl这几个核心模式,换到其他品牌也能举一反三。
H3C三层交换机的配置并不玄学，核心就是先规划后动手，把VLAN、SVI、路由、策略各层分开梳理，按照上面实例操作一遍，你至少能解决80%的小型园区网需求，剩下的链路聚合、VRRP等高级特性，原理相通,命令稍作扩展就能上手。
H3C三层交换机配置常见问题解答
问题1：H3C三层交换机配置完VLAN后，为什么电脑ping不通网关？
优先检查两点：电脑连接端口是否划到正确VLAN，以及交换机上是否正确创建了对应Vlan-interface并配置IP，用display vlan查看端口成员，用display ip interface brief查看接口状态，如果接口down，检查物理链路和光模块,另外确认电脑网卡手动指定的IP和网关是否在同一网段。
问题2：配置命令保存后，重启交换机配置会丢失吗？
不会，H3C交换机的配置分为当前配置和保存配置，只有执行save命令后，配置才会写入闪存，如果不保存，重启后所有命令都会回到出厂状态，建议每次修改完关键配置，立即执行save force，并确认提示configuration is saved successfully。
问题3：三个VLAN之间可以互访，但访问不了外网，可能是什么原因？
先从交换机上测试到出口路由器的连通性，在系统视图下用ping命令，如果通了，检查默认路由是否配置正确，用display ip routing-table查看路由表中是否有0.0.0/0的条目，还要确认出口路由器或防火墙是否有回程路由指向交换机的管理地址，以及NAT策略是否覆盖了新增的VLAN网段，多数情况下,问题出在上一层设备没放行这些内网网段。